RRAS-installasie misluk omdat die RemoteAccess-diens bly hang

Die installasie van die rol stop met ’n generiese fout en die gebeurtenislog bied byna niks om mee te werk nie. Op die bedieners waar dit gebeur, lê die ontbrekende stuk nie in die towenaar nie: die Remote Access-diens verlaat nooit die Starting-status nie. ’n Rol wat nie sy eie initialisering kan voltooi nie, misluk weer by elke herprobeerslag, dus kom die diens eerste en die towenaar tweede. Om die aanmeldreg reg te maak neem minute, en om die rol herhaaldelik te herinstalleer doen dit nie.

Begin by die diens, nie by die rol-towenaar nie

Maak ’n verhoogde opdragprompt oop en lees die dienskonfigurasie voordat jy aan die rol raak. Twee waardes maak saak: die aanvangstipe en die rekening waaronder die diens loop. ’n Standaardinstallasie registreer die diens vir ’n outomatiese, vertraagde begin onder Network Service.

As die status op Starting staan eerder as Running, wag die diens op iets wat hy nie kan kry nie, en ’n aanmeldreg is die gewone kandidaat. Langer wag help nie, want die begin het reeds misluk op ’n manier wat die Service Control Manager as hangende rapporteer. Stop die diens netjies en lees weer sy konfigurasie. Kyk dan na die diensbeginpoging in die gebeurtenislog, want dit is waar die rekeningnaam saam met die fout verskyn.

Die rol-towenaar rapporteer net dat initialisering misluk het, en juis daarom hoort die diensdiagnose eerste.

Lees die aanmeldreg voordat jy herinstalleer

Network Service het die aanmeld-as-’n-diens-reg nodig om te kan begin. Ingeboude rekeninge kry dit gewoonlik deur groepildmaatskap, en ’n geharde basislyn of ’n beleidsverfrissing kan dit wegneem. Groepbeleid wen by die volgende verfrissing, so ’n handmatige toekenning kan weer sonder waarskuwing verdwyn.

Eksporteer die plaaslike sekuriteitsbeleid en lees die inskrywing eerder as om die GUI te vertrou. Dit laat jou ’n lêer om ná ’n verfrissing te vergelyk, en dit is die enigste manier om te weet of die verandering oorleef het. As die inskrywing leeg is of die rekening uitlaat, het jy die fout gevind. Teken aan watter beleidsobjek dit stel, want daardie objek is wat die permanente regstelling nodig het.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

’n Toekenning wat plaaslik toegepas en by die volgende verfrissing deur beleid oorskryf word, lyk soos ’n regstelling wat opgehou werk het, en dit sal weer op dieselfde manier misluk.

Die rekening-omweg wat die konfigurasie herskryf

’n Kortpad herstel die diens se aanmeldkonfigurasie sonder om die beleid met die hand te wysig: verander die rekening, pas toe, en verander dit dan terug met die wagwoordvelde leeg gelaat.

Die omweg herskryf die diensrekord en ken die reg weer toe wat die rekening nodig het. Dit is ’n noodoplossing eerder as ’n regstelling van die oorsaak, so dit hoort in die veranderingsrekord met ’n datum daarby. Waar ’n basislyn die bediener bestuur, is die behoorlike herstelling om die rekening by die aanmeld-as-’n-diens-toewysing in daardie basislyn te voeg. Doen dit eerste wanneer jy kan, en gebruik die omweg net om ’n installasie wat andersins vasgehaak is, los te kry.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Lees die status ná elke opdrag, want ’n diens wat onder een rekening begin en nie onder die ander nie, sê vir jou watter reg ontbreek.

Installeer die rol en bewys dat dit geïnstalleer is

Met die diens aan die loop, voeg die rol weer by en sluit die VPN-subfunksie in wat jy werklik wil gebruik. Die generiese rol alleen gee jou nie ’n werkende VPN-eindpunt nie.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Bevestig dat die subfunksies Installed eerder as Available rapporteer, en maak dan die konsole oop en voltooi die aanvanklike konfigurasie voordat iemand anders aan die boks raak. As die konsole steeds beweer die diens loop nie, keer terug na die dienskontrole eerder as om die rol te verwyder.

Skryf neer wat jy verander het

Die towenaar se eerste keuses stel firewallreëls, adrestoewysing en of die bediener ’n DHCP-relay verwag. ’n Handvol punt-tot-punt-kliënte het nie die vorm van ’n werf-tot-werf-eindpunt nodig nie. Besluit die rol, die adrespoel, die verifikasiemetode en die sertifikaatbron voordat jy deurklik. Om hier te raai lewer ’n bediener wat skoon installeer en nooit ’n verbinding aanvaar nie.

Hou die afwyking in diensrekening in dieselfde nota. ’n Hardingsronde wat die standaardrekening terugplaas, kan die fout by die volgende herbegin herstel, maande nadat wie dit gediagnoseer het, aanbeweeg het.